ldap

Utiliser Améliorer Prêcher

Introduction à LDAP

mercredi 6 mai 2009


Sommaire

mercredi 6 mai 2009


Sommaire Historique rapide Les concepts LDAP et la gestion d’identité Démonstration Autre ressources

mercredi 6 mai 2009

Historique

mercredi 6 mai 2009


Historique rapide

mercredi 6 mai 2009


Historique rapide Découle des annuaires X.500 L’ensemble du protocole LDAP est aujourd’hui

disponible via les RFC Certains objets sont définis via une RFC

− c’est le cas par exemple de inetOrgPerson (RFC 2798) LDAP est une simplification de X.500 Dernière version : LDAPv3 (depuis 1998)

mercredi 6 mai 2009

Les concepts LDAP

mercredi 6 mai 2009


LDAP c’est quoi ?

mercredi 6 mai 2009


LDAP c’est quoi ? LDAP signifie Lightweight Directory Access

Protocol, − c’est donc avant tout un protocole de communication, au

même titre que HTTP

mercredi 6 mai 2009




même titre que HTTP On peut donc utiliser le même protocole pour

dialoguer avec un annuaire, quelque soit son origine (et même avec des pseudo annuaires)

mercredi 6 mai 2009




même titre que HTTP On peut donc utiliser le même protocole pour

dialoguer avec un annuaire, quelque soit son origine (et même avec des pseudo annuaires)

Définit− des opérations (search, add, modify, delete)− une nomenclature (objets, attributs)− la sécurité (authentification, chiffrement)

mercredi 6 mai 2009


Les différences avec un SGBD

mercredi 6 mai 2009


Les différences avec un SGBD Protocole de communication unique

mercredi 6 mai 2009


Les différences avec un SGBD Protocole de communication unique Base de données hiérarchiques

− Plutôt une vision fonctionnelle que technique Une entrée du même niveau ne possède pas forcément les

mêmes informations qu’une autre Représentation sous forme d’un arbre

mercredi 6 mai 2009





Orientée lecture plutôt qu’écriture

mercredi 6 mai 2009





Orientée lecture plutôt qu’écriture Administration “relativement” plus facile

mercredi 6 mai 2009





Orientée lecture plutôt qu’écriture Administration “relativement” plus facile Réplication multi-maîtres plus courante

mercredi 6 mai 2009


Exemple d’objet LDAP

mercredi 6 mai 2009


Les schémas LDAP

mercredi 6 mai 2009


Les schémas LDAP Un schéma définit un ou plusieurs objectClass

(types d’objets) ainsi que des attributs

mercredi 6 mai 2009



(types d’objets) ainsi que des attributs Un objectClass définit

− des attributs obligatoires, optionnels− une éventuelle relation avec d’autres types d’objets

mercredi 6 mai 2009





Un attribut définit− une syntaxe (contenu)− une méthode de recherche

mercredi 6 mai 2009





Un attribut définit− une syntaxe (contenu)− une méthode de recherche

Chaque objet d’un schéma est identifié par un OID

mercredi 6 mai 2009


Les objectClass

mercredi 6 mai 2009


Les objectClass Il en existe trois types

− abstract classe abstraite

− structural classe concrète (instances)

− auxiliary extensions de classes, permet de définir un objectClass qui

pourra être utilisé par plusieurs objets avec des objectClass structural différent

mercredi 6 mai 2009







est défini par un nom

mercredi 6 mai 2009







est défini par un nom définit une liste d’attributs obligatoires, une

autre d’optionnels

mercredi 6 mai 2009


Un attribut

equality = recherche egalite sur la valeur ordering = entree possedant cet attributsubstr = sous chaine

syntaxe:dn, boolean, directory string (utf8), ia5string (ascii), integer

mercredi 6 mai 2009


Un attribut définit

− par un nom− Une syntaxe (défini le type de contenu, par exemple un

entier, une chaîne de caractères, etc.)− Dès règles de comparaison (EQUALITY, ORDERING,

SUBSTR) Par exemple, pour les chaînes de caractères il est possible

de définir une recherche sensible ou non à la casse



mercredi 6 mai 2009


Un attribut définit

− par un nom− Une syntaxe (défini le type de contenu, par exemple un

entier, une chaîne de caractères, etc.)− Dès règles de comparaison (EQUALITY, ORDERING,

SUBSTR) Par exemple, pour les chaînes de caractères il est possible

de définir une recherche sensible ou non à la casse un indicateur de multi-valuation



mercredi 6 mai 2009


Le DIT : Directory Information Tree

mercredi 6 mai 2009


Le DIT : Directory Information Tree Structure logique d’une hiérarchie, représenté

sous forme d’un arbre

mercredi 6 mai 2009



sous forme d’un arbre Au sein de cet arbre, une entrée est identifiée

par son nom - unique - au sein de sa position

mercredi 6 mai 2009




par son nom - unique - au sein de sa position Ce nom unique est nommé

− DN quand il est complet uid=asyd,ou=People,dc=asyd,dc=net− RDN quand il est relatif uid=asyd

mercredi 6 mai 2009




par son nom - unique - au sein de sa position Ce nom unique est nommé

− DN quand il est complet uid=asyd,ou=People,dc=asyd,dc=net− RDN quand il est relatif uid=asyd

La racine est nommée suffixdn par exemple, dc=asyd,dc=net

mercredi 6 mai 2009



mercredi 6 mai 2009


Le DIT : Directory Information Tree Sa conception est probablement la phase la

plus délicate de la conception d’un annuaire− Une mauvaise conception est lourde de conséquences− Difficile d’effectuer des modifications sur le DIT une fois

mis en place− Plusieurs approches possibles (par exemple, pour une

grande société, une hiérarchie par ville, puis par position RH, mais pour une PME, une représentation à plat)

mercredi 6 mai 2009



mercredi 6 mai 2009


Le DIT : Directory Information Tree Quelques conventions

− un objet de type ou (organizationalUnit) pour représenter un noeud

− un noeud (ou=People) à la racine de l’arbre pour y stocker les comptes utilisateurs (chez certains (mauvais) éditeurs d’application cette valeur est codée en dur)

− aujourd’hui, utilisation de la forme dc=domain,dc=tld en tant que suffixdn (plutôt que o=organization)

mercredi 6 mai 2009


Le DIT : Directory Information Tree Quelques conventions

− un objet de type ou (organizationalUnit) pour représenter un noeud

− un noeud (ou=People) à la racine de l’arbre pour y stocker les comptes utilisateurs (chez certains (mauvais) éditeurs d’application cette valeur est codée en dur)

− aujourd’hui, utilisation de la forme dc=domain,dc=tld en tant que suffixdn (plutôt que o=organization)

Rien n’oblige à suivre ces conventions− rajout de contacts privés sous une entrée utilisateur (ce

qui donnerait cn=Mlle X,cn=Bruno Bonfils,ou=People,dc=guses,dc=org)

− utilisation de o=organization en tant que suffixdn

mercredi 6 mai 2009


Le DIT : Directory Information Tree Exemple d’arbre simple

dc=guses,dc=org− ou=People

ou=Special users ou=Contacts ou=Members

− ou=Group

mercredi 6 mai 2009

LDAP et la gestion d’identité

mercredi 6 mai 2009


IAM : Pourquoi LDAP ?

mercredi 6 mai 2009


IAM : Pourquoi LDAP ? Représentation hiérarchique

− Un noeud pour les employés d’une société, un autre pour les fournisseurs, un pour les prestataires, etc.

− Au sein d’un même noeud, des utilisateurs peuvent posséder des informations différentes Typiquement, les administrateurs Unix posséderont

l’objectClass posixAccount

mercredi 6 mai 2009


IAM : Pourquoi LDAP ? Représentation hiérarchique

− Un noeud pour les employés d’une société, un autre pour les fournisseurs, un pour les prestataires, etc.

− Au sein d’un même noeud, des utilisateurs peuvent posséder des informations différentes Typiquement, les administrateurs Unix posséderont

l’objectClass posixAccount Gestion des groupes

− Au moins trois manières de gérer les groupes Un objet group avec un attribut multivaleur uniqueMember Certains annuaires proposent des groupes dynamiques, leur

liste est calculée à partir d’une requête LDAP

mercredi 6 mai 2009


IAM : Pourquoi LDAP ?

mercredi 6 mai 2009


IAM : Pourquoi LDAP ? Une gestion des droits fine

− ACL ou ACI en fonction des annuaires− Permet de limiter les accès sur les objets, les attributs

(lecture, écriture)− Interdire la consultation de l’annuaire par un prestataire− Modifications sur le noeud Prestataire par les membres

d’un groupe Manager

mercredi 6 mai 2009


Un petit mot sur le provisionning

mercredi 6 mai 2009


Un petit mot sur le provisionning Disposer d’outils permettant d’alimenter un

annuaire, mais orienté fonctionnel

mercredi 6 mai 2009



annuaire, mais orienté fonctionnel Des outils spécifiques

− Sun Identity Manager (IDM), Novell Identity Manager, Microsoft Identity Lifecycle Manager

− Permet de rajouter des workflows, des rapports, une conformité légale (Sarbanes Oxley)

mercredi 6 mai 2009



annuaire, mais orienté fonctionnel Des outils spécifiques

− Sun Identity Manager (IDM), Novell Identity Manager, Microsoft Identity Lifecycle Manager

− Permet de rajouter des workflows, des rapports, une conformité légale (Sarbanes Oxley)

Des éditeurs fonctionnels− Calendra (Directory Management)− Sun Directory Editor

mercredi 6 mai 2009


Les raisons techniques

mercredi 6 mai 2009


Les raisons techniques protocole d’accès unifié, en résulte une

adoption quasi systématique par les éditeurs d’applications

mercredi 6 mai 2009




sécurisation− SSL/STARTTLS

mercredi 6 mai 2009




sécurisation− SSL/STARTTLS

réplication multi-maîtres− haute disponibilité

mercredi 6 mai 2009

La pratiqueDSEE, NSS/PAM, Démo

mercredi 6 mai 2009


Directory Server Enterprise Edition

mercredi 6 mai 2009


Directory Server Enterprise Edition Composante de JES5

mercredi 6 mai 2009


Directory Server Enterprise Edition Composante de JES5 Est composé de

− un serveur LDAP, un proxy− une instance de configuration− un composant de la webconsole− un agent cacao

mercredi 6 mai 2009




Attention, pas de version 6.2 en production !

mercredi 6 mai 2009




Attention, pas de version 6.2 en production !− et même pas de 6.2 tout court...

mercredi 6 mai 2009


Utilisation de LDAP pour les NSS

mercredi 6 mai 2009


Utilisation de LDAP pour les NSS NameServiceSwitch

mercredi 6 mai 2009



− Permet de résoudre l’ensemble des tables de correspondance (nom <-> valeur) du système résolution de nom d’hôte en adresse IP (DNS) translation de nom d’utilisateurs, groupes en UID/GID d’autres tables plus OS spécifiques comme celle utilisée par

autofs

mercredi 6 mai 2009




autofs− Permet d’utiliser une autre source de données (réseau)

pour des fichiers comme /etc/passwd /etc/group /etc/shadow, etc.

mercredi 6 mai 2009






− Les interfaces (API) exposées sont les mêmes, quelque soit la source de données

mercredi 6 mai 2009






− Les interfaces (API) exposées sont les mêmes, quelque soit la source de données

− Attention, le service NSS n’est pas lié à l’authentification

mercredi 6 mai 2009


à propos de PAM

auth: id/pass OKaccount: user’s account is valid (validité du mot de passe, expiration)session: set up and terminate login sessionpasswd: modification du mot de passe

mercredi 6 mai 2009


à propos de PAM Pour rappel, PAM est une couche

d’abstraction pour gérer l’authentification − Plus précisément, pour gérer quatre étapes liées à

l’authentification (auth, account, session, password)


mercredi 6 mai 2009




l’authentification (auth, account, session, password) Au même titre que les NSS, PAM permet

d’utiliser différents modules


mercredi 6 mai 2009





d’utiliser différents modules Permet d’empiler les modules


mercredi 6 mai 2009





d’utiliser différents modules Permet d’empiler les modules Attention, PAM ne gère que

l’authentification ! (répond OK ou KO à une demande de vérification d’un couple login / mot de passe)


mercredi 6 mai 2009


Les différences entre NSS et PAM

mercredi 6 mai 2009


Les différences entre NSS et PAM Les deux sont complémentaires, mais peuvent

s’utiliser indépendamment l’un de l’autre

mercredi 6 mai 2009



s’utiliser indépendamment l’un de l’autre PAM peut s’utiliser dans le cadre d’une

authentification apache− aucun UID/GID n’est nécessaire− vérification du login/mot de passe suffisant

mercredi 6 mai 2009



s’utiliser indépendamment l’un de l’autre PAM peut s’utiliser dans le cadre d’une

authentification apache− aucun UID/GID n’est nécessaire− vérification du login/mot de passe suffisant

Une session système (login local, ssh) nécessite un UID/GID (entre autre)− l’utilisateur doit donc être présent dans la table NSS

passwd

mercredi 6 mai 2009


Au cas où

mercredi 6 mai 2009

Démonstration : DSEE, Solaris

mercredi 6 mai 2009

Autres ressources

mercredi 6 mai 2009


Les autres outils

mercredi 6 mai 2009


Les autres outils OpenLDAP

mercredi 6 mai 2009


Les autres outils OpenLDAP Apache Directory Studio

mercredi 6 mai 2009


Les autres outils OpenLDAP Apache Directory Studio Apache Directory Server

mercredi 6 mai 2009


Les autres outils OpenLDAP Apache Directory Studio Apache Directory Server Penrose

mercredi 6 mai 2009


Liens http://docs.sun.com/ http://linagora.org/ pour des supports de

formation LDAP, OpenLDAP http://google.com/ etc.

mercredi 6 mai 2009

http://docs.sun.com

http://docs.sun.com

http://linagora.org

http://linagora.org

http://google.com

http://google.com

ldap

Technology